- Implementuje lekką architekturę opartą na eBPF, która pomija moduły jądra, aby zminimalizować wpływ na wydajność.
- Zapewnia kompleksową ochronę dzięki EDR, antywirusowi nowej generacji i zarządzaniu podatnościami opartemu na sztucznej inteligencji.
- Jest kompatybilny z głównymi dystrybucjami korporacyjnymi, takimi jak Ubuntu, RHEL, Debian i SUSE na architekturach x64 i ARM64.
- Wymaga licencji korporacyjnych Microsoft Defender for Endpoint Plan 2 lub subskrypcji Microsoft 365 E5/E7.
Prawdopodobnie zauważyłeś, że ekosystem bezpieczeństwa Microsoftu poczynił znaczący krok naprzód. Nie chodzi już tylko o ochronę systemu Windows; wdrożono potężne narzędzie o nazwie Microsoft Defender for Endpoint, zaprojektowane specjalnie dla środowiska Linux. Co najciekawsze, choć wielu postrzega je jako prostą kontrolę bezpieczeństwa w firmie, narzędzie to ewoluowało, obejmując wszystko – od najsolidniejszych serwerów w chmurze po laptopy programistów pracujących z domu – łącząc w ten sposób cały ekosystem technologiczny pod jednym dowództwem.
Ten krok jest prosty, ale ambitny: Microsoft chce uwolnić firmy od konieczności żonglowania dziesięcioma różnymi narzędziami. Integrując Linuksa z platformą XDR (Extended Detection and Response) , umożliwia administratorowi bezpieczeństwa monitorowanie stanu maszyny wirtualnej platformy Azure, serwera fizycznego z systemem Red Hat lub komputera stacjonarnego z systemem Ubuntu – wszystko z poziomu ujednoliconego pulpitu . Przyjrzyjmy się bliżej, jak działa ten system, jakie maszyny obsługuje i jak go sprawnie uruchomić.
Co kryje się pod maską? Funkcjonalność i możliwości
W przeciwieństwie do tradycyjnych programów antywirusowych, które czasami mogą być obciążeniem dla systemu, Defender w systemie Linux wykorzystuje lekką architekturę czujników opartą na eBPF (rozszerzonym filtrze pakietów Berkeley) . Jest to kluczowe, ponieważ oznacza, że nie wymaga instalacji modułów jądra, co drastycznie zmniejsza ryzyko awarii systemu i minimalizuje wpływ na wydajność komputera.
System jest zasadniczo podzielony na trzy główne bloki obronne. Po pierwsze, mamy ochronę nowej generacji , która nie tylko wyszukuje stare sygnatury wirusów, ale wykorzystuje uczenie maszynowe i analizę behawioralną do blokowania złośliwego oprogramowania w czasie rzeczywistym. Jeśli proces zaczyna zachowywać się dziwnie, przypominając atak ransomware , system natychmiast go zatrzymuje.
Po drugie, do gry wkracza EDR. To właśnie tutaj sprawy robią się poważne, ponieważ system monitoruje aktywność w celu wykrywania ataków bezplikowych lub wstrzyknięć pamięci. Dzięki analizie zagrożeń firmy Microsoft i współpracy z platformą MITRE ATT&CK , analitycy mogą zobaczyć dokładny harmonogram ataku i dynamicznie reagować, usuwając podejrzany plik lub zdalnie uruchamiając skrypty naprawcze.
Wreszcie, istnieje mechanizm zarządzania narażeniem. Defender skanuje system w poszukiwaniu luk w zabezpieczeniach oprogramowania i błędnych konfiguracji. Zamiast konieczności ręcznego przeglądania każdego CVE przez administratora, narzędzie priorytetyzuje zagrożenia, dzięki czemu wiesz, co należy naprawić w pierwszej kolejności , aby zmniejszyć powierzchnię ataku.
Zgodny sprzęt i wymagania techniczne
Nie wszystkie dystrybucje Linuksa działają, ale lista jest dość obszerna. Microsoft uczynił każdą dystrybucję działającą na serwerach kompatybilną również z Linuksem (choć ten ostatni wciąż znajduje się w fazie publicznej wersji zapoznawczej). Jest to kluczowe dla programistów, którzy często mają wysokie uprawnienia i są głównym celem hakerów.
- Akceptowane dystrybucje: Obejmuje ona takie giganty jak Red Hat Enterprise Linux (RHEL), CentOS, Ubuntu LTS (od wersji 16.04 do 24.04 i nowszych), Debian, SUSE Linux Enterprise, Oracle Linux, Fedora, Rocky Linux, Alma Linux i Mariner.
- Architektury: Obsługuje oba procesory x64 (AMD64/EM64T) jak te najnowocześniejsze ARM64.
- Środowiska graficzne: Nie ma znaczenia, czy używasz GNOME, KDE czy innego; liczy się baza systemowa i wersja jądro.
Jeśli chodzi o sprzęt, nie jest on zbyt wymagający. Aby agent działał płynnie, potrzebny jest co najmniej jeden rdzeń procesora , 1 GB pamięci RAM i około 2 GB miejsca na dysku. Jednak w przypadku bardzo dużego obciążenia zaleca się zwiększenie tych wartości, aby uniknąć wąskich gardeł. Od strony oprogramowania, kluczowe jest, aby system używał systemd jako menedżera systemu, a jeśli chcesz korzystać z izolacji urządzeń, musisz mieć skonfigurowane iptables lub nftables.
Systemy plików i sieć
Ochrona w czasie rzeczywistym i skanowanie (szybkie lub pełne) działają w większości popularnych systemów plików. Dostępna jest jednak rozszerzona lista niestandardowych skanowań , która obejmuje opcje takie jak btrfs, ext2, ext3, ext4, xfs, nfs (v3 i v4), a nawet bardziej specyficzne systemy, takie jak glusterfs lub ocfs2.
Aby agent mógł zgłaszać zagrożenia do portalu Microsoft, potrzebuje płynnej łączności z chmurą . Wymaga to prawidłowej konfiguracji zapór sieciowych oraz, jeśli firma korzysta z serwera proxy, włączenia wykrywania statycznego serwera proxy , aby anonimowy ruch do adresów URL Microsoft nie był blokowany.
Jak uruchomić: Metody wdrażania
Instalacja Defendera nie jest tak prosta, jak kliknięcie przycisku „Dalej”, ponieważ jest to narzędzie klasy korporacyjnej. Chociaż możliwa jest instalacja ręczna, w przypadku dużych wdrożeń zaleca się skorzystanie z narzędzia Deployment Tool lub menedżerów konfiguracji, takich jak Puppet, Ansible lub Chef.
Jeśli wybierzesz opcję ręczną, proces będzie się różnić w zależności od dystrybucji. W systemach opartych na RHEL użyjesz dnf lub yum , aby dodać repozytorium Microsoft i zainstalować pakiet mdatp . W Ubuntu lub Debianie proces obejmuje użycie apt , skonfigurowanie listy repozytoriów i odpowiednich kluczy GPG.
Po zainstalowaniu oprogramowania następuje kluczowy krok: proces wdrażania do firmy nowego pracownikaNależy pobrać pakiet z portalu Microsoft Defender i uruchomić skrypt w języku Python (zwykle MicrosoftDefenderATPOnboardingLinuxServer.py) z uprawnieniami roota. Aby sprawdzić, czy wszystko działa poprawnie, możesz użyć polecenia mdatp healthktóry powie Ci, czy agent jest zdrowy i licencjonowany.
Licencjonowanie i zarządzanie operacyjne
Należy wyjaśnić, że nie jest to darmowa wersja dla użytkowników domowych. Aby korzystać z programu Defender w systemie Linux, potrzebna jest licencja korporacyjna, a konkretnie Microsoft Defender for Endpoint Plan 2 lub subskrypcja bardziej kompleksowego planu, takiego jak Microsoft 365 E5 lub E7.
Zarządzanie odbywa się z chmury, gdzie można skonfigurować wyjątki antywirusowe , aby zapobiec spowalnianiu krytycznych aplikacji przez skaner. Aktualizacje platformy odbywają się co miesiąc, a korzystanie z trzech najnowszych wersji jest niezbędne do utrzymania wsparcia technicznego. Ponadto system umożliwia pracę w trybie pasywnym , co oznacza, że Defender może współistnieć z oprogramowaniem antywirusowym innych firm bez powodowania konfliktów, po prostu obserwując i raportując bez automatycznego blokowania.
To rozwiązanie przekształca zabezpieczenia systemu Linux w łatwe w zarządzaniu i profesjonalne rozwiązanie, eliminując martwe punkty w infrastrukturze przedsiębiorstwa. Łącząc architekturę opartą na eBPF ze scentralizowanym zarządzaniem w chmurze, Microsoft zapewnia spójną i skuteczną ochronę serwerów i stacji roboczych, zdolną do zatrzymania wszystkiego, od prostego złośliwego oprogramowania po zaawansowane, uporczywe zagrożenia.